统一攻击框架证明主流大模型统计水印在黑盒下可被完全绕过

该论文提出一种针对大语言模型统计生成水印的统一攻击框架，成功证明了包括KGW、GumbelSoft、DipMark、ITS和SynthID在内的多种流行方案存在根本性弱点。攻击者仅需黑盒查询访问，无需知晓密钥或模型权重，即可生成既流畅自然又能逃避检测的文本。实验显示，该攻击将七种主流水印方案的检测率降至0.05以下，同时保持文本质量不受影响。

核心机制在于发现并利用了“分数比对齐”（score-ratio alignment）现象，即检测分数与生成过程中引入的token概率偏移之间存在必然联系。作者从理论上证明这种攻击在所有覆盖的水印家族中是最优的，且该弱点是内生的：任何旨在最大化统计检测能力的水印设计，都不可避免地会诱导攻击者可利用的结构。这意味着当前基于统计信号嵌入的检测逻辑在数学上存在不可调和的矛盾。

这一发现对AI内容溯源生态构成直接威胁，表明依赖现有统计水印的方案在现实攻击条件下无法可靠工作。事实层面确认了攻击的有效性和理论的最优性；推断层面指出必须重新设计能解耦检测分数与概率偏移的新架构；猜测层面认为未来可能需要结合非统计特征或多模态约束来构建更鲁棒的防御体系。